紅色警報發布

3 月 21 日，瑞星發布紅色（一級）安全警報：「磁碟機」病毒正在網上肆虐，危險程度升級。該病毒嘗試關閉各類防毒軟體，自動下載數十種盜號木馬，造成網民鉅大損失。查殺難度超過熊貓燒香，截至 3 月 20 日感染電腦達數十萬台。

專家研判

瑞星專家認為此為具明確經濟目的的病毒犯罪團伙所為，借鑒熊貓燒香團伙經驗，極狡猾，在製造、傳播、躲避偵查皆下足功夫。相關資料已上報公安機關。

免費提供瑞星 2008 版

瑞星宣布向所有受害網民派發瑞星殺毒軟體 2008 版，官網下載可免費使用一個月。作為國內唯一具備「智慧型主動防禦」的防毒軟體，可有效對抗磁碟機攻擊，針對其攻擊行為重點防禦；獨有惡意行為分析技術可在系統底層攔截惡意行為，使其無法破壞，是目前防禦磁碟機最有效工具。

五招辨識磁碟機感染

1. 防毒/安全軟體無法運行、被強制關閉或打開後被「分屍」。
2. 安全模式被破壞：進入安全模式藍屏（病毒刪除安全模式相關註冊表鍵值）。
3. 無法正常顯示隱藏檔案，「隱藏受保護的作業系統檔案」選項被破壞。
4. 工作管理器出現兩個 lsass.exe 與 smss.exe 進程。
5. 用 WinRAR 發現病毒檔案：
   %systemroot%\system32\com\lsass.exe
%systemroot%\system32\com\smss.exe
%systemroot%\system32\com\netcfg.dll
%systemroot%\system32\com\netcfg.000

技術分析概要

• 使用 Rootkits 技術，從系統底層卸載防毒軟體鉤子，釋放自身驅動程式使防毒監控失效。
• 頻繁尋找防毒軟體程式視窗強制關閉。無智慧型主動防禦技術的防毒軟體易被破壞。
• 釋放驅動 NetApi000.sys 恢復 SSDT，卸載防毒軟體所有鉤子（檔案監控、註冊表監控等失效）。
• 釋放 smss.exe 等病毒檔實現進程保護，難徹底查殺。
• 從 https://**.c0mo.com、https://**.k0102.com 等站點下載數十個盜號木馬，竊取網遊帳號裝備、網銀密碼等隱私。

升級建議

瑞星用戶升級至最新版本（20.36.32 版以上）即可全面防禦、查殺該病毒。